WhiteHat News #ID:2112
VIP Members
-
16/06/2015
-
83
-
672 bài viết
Bản cập nhật tháng 9/2020 của Microsoft vá 129 lỗ hổng
Microsoft vừa phát hành một loạt bản cập nhật bảo mật mới để khắc phục tổng cộng 129 lỗ hổng mới được phát hiện, ảnh hưởng đến các phiên bản khác nhau của hệ điều hành Windows và các phần mềm liên quan.
Trong số 129 lỗi này, 23 lỗi được liệt kê ở mức độ nghiêm trọng, 105 lỗi quan trọng và một ở mức độ nghiêm trọng vừa phải.
Các sản phẩm bị ảnh hưởng là Microsoft Windows, trình duyệt Edge, Internet Explorer, ChakraCore, SQL Server, Exchange Server, Office, ASP.NET, OneDrive, Azure DevOps, Visual Studio và Microsoft Dynamics.
Không có lỗ hổng bảo mật nào được liệt kê là đã được biết đến công khai hoặc đang bị tấn công tích cực tại thời điểm phát hành hoặc ít nhất là Microsoft không biết đến điều đó.
Lỗi bộ nhớ (CVE-2020-16875) trong phần mềm Microsoft Exchange là lỗ hổng đáng lưu ý nhất trong tất cả các lỗ hổng nghiêm trọng. Khai thác lỗ hổng này có thể cho phép kẻ tấn công chạy mã tùy ý ở cấp HỆ THỐNG bằng cách gửi một email được chế tạo đặc biệt tới Exchange Server tồn tại lỗ hổng.
Microsoft cũng đã vá hai lỗi thực thi mã từ xa quan trọng trong Windows Codecs Library, cả hai đều tồn tại trong cách mà Windows Codecs Library của Microsoft xử lý các đối tượng trong bộ nhớ, nhưng trong khi một lỗi (CVE-2020-1129) có thể bị lợi dụng để lấy thông tin nhằm xâm phạm sâu hơn vào hệ thống của người dùng thì lỗi còn lại (CVE-2020-1319) có thể được sử dụng để kiểm soát hệ thống bị ảnh hưởng.
Bên cạnh đó là hai lỗi thực thi mã từ xa ảnh hưởng đến việc triển khai Microsoft Dynamics 365, nhưng cả hai đều yêu cầu kẻ tấn công phải được xác thực.
Microsoft cũng đã vá sáu lỗ hổng thực thi mã từ xa quan trọng trong SharePoint và một trong SharePoint Server. Trong khi khai thác lỗ hổng trong SharePoint Server yêu cầu xác thực, các lỗ hổng trong SharePoint thì không.
Các lỗi nghiêm trọng khác nằm trong Windows, Windows Media Audio Decoder, Windows Text Service Module, Windows Camera Codec Pack, Visual Studio, Scripting Engine, Microsoft COM for Windows, Microsoft Browser và Graphics Device Interface.
Các lỗ hổng được đánh dấu là quan trọng nằm trong Windows, Active Directory, Active Directory Federation Services (ADFS), Internet Explorer Browser Helper, Jet Database Engine, ASP.NET Core, Dynamics 365, Excel, Graphics Component, Office, Office SharePoint, SharePoint Server, SharePoint , Word, OneDrive cho Windows, Scripting Engine, Visual Studio, Win32k, Windows Defender Application Control, Windows DNS, v.v.
Hầu hết các lỗ hổng này đều cho phép tiết lộ thông tin, nâng cao đặc quyền và XSS. Một số cũng dẫn đến các cuộc tấn công thực thi mã từ xa. Ngược lại, những lỗi khác cho phép vượt qua tính năng bảo mật, giả mạo và từ chối dịch vụ.
Người dùng Windows và quản trị viên hệ thống được khuyến cáo áp dụng các bản vá bảo mật mới nhất càng sớm càng tốt để ngăn chặn tội phạm mạng và tin tặc chiếm quyền kiểm soát máy tính của họ.
Để cài đặt các bản cập nhật bảo mật, người dùng vào Settings → Update & security → Windows Update → Check for updates hoặc cài đặt thủ công.
Trong số 129 lỗi này, 23 lỗi được liệt kê ở mức độ nghiêm trọng, 105 lỗi quan trọng và một ở mức độ nghiêm trọng vừa phải.
Các sản phẩm bị ảnh hưởng là Microsoft Windows, trình duyệt Edge, Internet Explorer, ChakraCore, SQL Server, Exchange Server, Office, ASP.NET, OneDrive, Azure DevOps, Visual Studio và Microsoft Dynamics.
Không có lỗ hổng bảo mật nào được liệt kê là đã được biết đến công khai hoặc đang bị tấn công tích cực tại thời điểm phát hành hoặc ít nhất là Microsoft không biết đến điều đó.
Lỗi bộ nhớ (CVE-2020-16875) trong phần mềm Microsoft Exchange là lỗ hổng đáng lưu ý nhất trong tất cả các lỗ hổng nghiêm trọng. Khai thác lỗ hổng này có thể cho phép kẻ tấn công chạy mã tùy ý ở cấp HỆ THỐNG bằng cách gửi một email được chế tạo đặc biệt tới Exchange Server tồn tại lỗ hổng.
Microsoft cũng đã vá hai lỗi thực thi mã từ xa quan trọng trong Windows Codecs Library, cả hai đều tồn tại trong cách mà Windows Codecs Library của Microsoft xử lý các đối tượng trong bộ nhớ, nhưng trong khi một lỗi (CVE-2020-1129) có thể bị lợi dụng để lấy thông tin nhằm xâm phạm sâu hơn vào hệ thống của người dùng thì lỗi còn lại (CVE-2020-1319) có thể được sử dụng để kiểm soát hệ thống bị ảnh hưởng.
Bên cạnh đó là hai lỗi thực thi mã từ xa ảnh hưởng đến việc triển khai Microsoft Dynamics 365, nhưng cả hai đều yêu cầu kẻ tấn công phải được xác thực.
Microsoft cũng đã vá sáu lỗ hổng thực thi mã từ xa quan trọng trong SharePoint và một trong SharePoint Server. Trong khi khai thác lỗ hổng trong SharePoint Server yêu cầu xác thực, các lỗ hổng trong SharePoint thì không.
Các lỗi nghiêm trọng khác nằm trong Windows, Windows Media Audio Decoder, Windows Text Service Module, Windows Camera Codec Pack, Visual Studio, Scripting Engine, Microsoft COM for Windows, Microsoft Browser và Graphics Device Interface.
Các lỗ hổng được đánh dấu là quan trọng nằm trong Windows, Active Directory, Active Directory Federation Services (ADFS), Internet Explorer Browser Helper, Jet Database Engine, ASP.NET Core, Dynamics 365, Excel, Graphics Component, Office, Office SharePoint, SharePoint Server, SharePoint , Word, OneDrive cho Windows, Scripting Engine, Visual Studio, Win32k, Windows Defender Application Control, Windows DNS, v.v.
Hầu hết các lỗ hổng này đều cho phép tiết lộ thông tin, nâng cao đặc quyền và XSS. Một số cũng dẫn đến các cuộc tấn công thực thi mã từ xa. Ngược lại, những lỗi khác cho phép vượt qua tính năng bảo mật, giả mạo và từ chối dịch vụ.
Người dùng Windows và quản trị viên hệ thống được khuyến cáo áp dụng các bản vá bảo mật mới nhất càng sớm càng tốt để ngăn chặn tội phạm mạng và tin tặc chiếm quyền kiểm soát máy tính của họ.
Để cài đặt các bản cập nhật bảo mật, người dùng vào Settings → Update & security → Windows Update → Check for updates hoặc cài đặt thủ công.
Theo The Hacker News